Untuk trading atau staking di kebanyakan protokol, kamu lebih dulu approve kontraknya agar bisa memindahkan token atas namamu. Ini normal dan memang perlu. Masalahnya ada di default-nya: banyak aplikasi meminta unlimited approval yang tidak pernah kedaluwarsa, jadi kontrak tetap memegang izin memindahkan token itu lama setelah kamu selesai memakainya.
Kalau kontrak itu kelak dieksploitasi, atau memang jahat sejak awal, approval yang masih berdiri itulah pintu masuknya. Penyerang tidak butuh seed phrase kamu. Izin yang sudah kamu tanda tangani cukup untuk menguras token yang di-approve. Ini salah satu cara paling umum wallet berisi dana kehilangan uang tanpa pernah kena phishing secara langsung.
Solusinya kebersihan, bukan ketakutan. Approve hanya jumlah yang dibutuhkan saat aplikasinya mendukung, dan revoke approval yang sudah tidak kamu pakai. Meninjau permukaan approval sebuah address menunjukkan kontrak mana yang masih memegang izin, supaya kamu bisa menutup yang sudah tidak layak dipertahankan.